シナリオ: デジタル・ツイン・インスタンスのシークレットの作成および管理

シークレットローテーションのベストプラクティス

OCI Vaultシークレットに格納されたデバイス資格証明をローテーションするには、定義されたライフサイクルを使用します。機密コンテンツを定期的にローテーションして、資格証明の漏洩を減らし、監査/コンプライアンス要件をサポートします。

推奨ベースライン・ポリシー: シークレット・コンテンツを90日から180日ごとにローテーションし、ローテーション・ケイデンスを毎年レビューし、セキュリティ・イベントが発生するとすぐにローテーションします。

次のようなリスクが変更されると、シークレット・コンテンツを即時にローテーションします。

• シークレットの侵害または不正アクセスの疑いがあります。
• デバイスまたは統合セキュリティ・インシデント。
• 資格の有効期間を短くする必要があるポリシーまたはコンプライアンスの変更。

可能な場合は、予測可能な回転窓および緊急事態のための手動回転のためのオートメーションを使用します。

既存のシークレットの更新(同じシークレットOCID)

既存のシークレットを更新して、同じシークレットOCIDとそのバージョン履歴を保持します:

• コンソールの使用: シークレットの新しいバージョンを作成してから、必要に応じてシークレット・プロパティを編集します。
• CLIまたはAPIの使用: シークレット・コンテンツの更新。OCIによって新しいシークレット・バージョンが自動的に作成されます。
• 認証ID: シークレットOCIDは同じままであるため、デジタル・ツイン・インスタンスの--auth-idを変更する必要はありません。同じOCIDを保持しても、中断のないデバイス認証は保証されません。デバイス・パスワードを新しいシークレット・コンテンツに更新し、シークレット・バージョンの変更をデバイスと調整し、新しい認証を確認してから前の値をリタイアします。
• ロールバック準備状況: 削除しないかぎり、以前のバージョンはVaultに残ります。ロールバックに頼る前に、サービスがデバイス認証を受け入れて検証するバージョンを確認します。

新しいシークレットバージョンへのデバイスの引き渡し

同じシークレットOCIDでのローテーションの場合、IoTはCURRENT値を使用し、サポートされているオーバーラップ中に1つのPREVIOUS値を受け入れることができます。各ハンドオーバーを完了してから、別の回転を開始します。バージョンを Vaultに保持することは、認証できる保証ではありません。

1. シークレットOCID、それを参照するインスタンス、および置換パスワードが必要なデバイスを特定します。安全な配布方法を用意しましょう。
2. 上でリンクされたVault操作を使用して、同じシークレットOCIDの下に置換バージョンを作成します。デバイス・パスワードとして使用する前に、目的の置換がCURRENTであることを確認します。PENDINGバージョンはアクティブではありません。
3. 制御されたデバイスのセットでデバイスのパスワードを更新します。Base64記憶域表現ではなく、元のシークレット値を使用します。インスタンス認証IDは変更しません。
4. テスト・クライアントの既存のセッションを切断し、置換パスワードを構成して、TLSサーバー証明書検証を有効にして新しい接続を開きます。残りのデバイスを切り替える前に、テスト・メッセージを送信し、目的のインスタンスの取込みを確認します。接続されたクライアントのみでは、メッセージが取り込まれたことは証明されません。
5. 資格証明- リタイア・ポリシーに従って、以前の値をリタイアする前に移行を完了および確認します。デバイスを認証できない場合は、別のローテーションを開始する前に、シークレット・ローテーションのトラブルシューティングを使用して調査します。

新しいシークレットの作成(新しいシークレットOCID)

新しいシークレットは、独立したライフサイクルを持つ新しいシークレットOCIDが必要な場合に使用します。一般的なユースケースには、次のものがあります。

• 一意の資格証明: デバイスごとに1つのシークレット、またはデジタル・ツイン・インスタンスごとに1つのシークレット。
• 環境の分離: 異なるポリシー、コンパートメント、ボールトまたはガバナンスの境界。
• 新しい所有権または命名要件: 操作と監査を明確に分離します。

新しいシークレットを作成した後、新しい--auth-idでデジタル・ツイン・インスタンスを更新します。これにより、資格証明参照が変更され、以前のシークレットが受け入れられることは保証されません。古い資格証明をリタイアする前に、デバイス・パスワードを更新し、新しい接続を確認します。

シークレット・ローテーション後の検証チェックリスト

1. 新しいシークレット・バージョンがアクティブで取得可能であることを確認します。
2. デジタル・ツイン・インスタンスが、構成された--auth-idをまだ解決していることを確認します。
3. HTTPSまたはMQTTSを介したデバイス認証およびデータ・フローを検証します。
4. 監査エビデンスについて、ローテーション日、シークレット・バージョンおよびテスト結果を記録します。

追加のライフサイクル制御については、シークレットのルールの更新、シークレット・ルールおよびシークレットのFAQを参照してください。